菲米斯到底怎么样？新手小白看这篇就够了！

今天跟大家聊聊我这几天一直在搞的“菲米斯”！一开始我都没听过这个牌子，后来在网上冲浪的时候，无意中看到了，说是北京那边的，专门在网上卖东西，看着挺火的。

然后我就寻思着，这玩意儿到底有啥特别的？能不能用一些奇奇怪怪的办法，搞出点不一样的东西来？

一开始我啥也没想，直接就在网上搜各种关于“菲米斯”的信息，想看看能不能找到什么漏洞或者bug。结果搜了半天，除了卖东西的广告，啥也没找到。有点失望。

但是！我这个人就是不服输！既然直接搜不行，那就换个思路！我想着既然它是网上卖东西的，那肯定跟服务器、数据库啥的脱不了干系。于是我就开始尝试各种方法，想看看能不能找到它的服务器IP地址。

这一步可把我累坏了！又是用ping命令，又是用各种在线工具，折腾了半天，终于让我找到了几个疑似是“菲米斯”的服务器IP地址。当时我那个激动，差点没跳起来！

找到了IP地址，接下来就是扫描端口了。我用nmap这个工具，对着那些IP地址挨个扫描，想看看有没有开放啥敏感端口。结果，大部分端口都是关闭的，只有一个IP地址开放了80端口和443端口。80端口是HTTP，443端口是HTTPS，都是跑网页的。

然后我就打开浏览器，输入那个IP地址，结果直接跳转到了“菲米斯”的官网。看来我找对了！

但是！这还没完！我可不是来逛官网的！我是来找漏洞的！于是我就开始对着这个官网，各种瞎点、乱点，想看看能不能发现什么好玩的东西。

我先是注册了一个账号，然后随便填了一些信息，登录进去。结果，发现也没啥特别的，就是一些商品展示和购物功能。有点失望。

但是！我这个人就是不服输！既然前台没啥好玩的，那就看看后台！于是我就开始尝试各种弱口令，想看看能不能猜到管理员的账号密码。结果，试了半天，啥也没试出来。有点沮丧。

后来我突然想到，之前在网上看到过一些关于跑酷游戏bug的帖子，说是可以通过一些特殊的操作，让游戏里的角色卡到墙里或者飞到天上。我就寻思着，这个“菲米斯”的网站，会不会也有类似的bug？

于是我就开始尝试各种奇怪的操作。比如，在输入框里输入一些特殊字符，比如单引号、双引号、尖括号等等，想看看会不会引发什么错误。结果，试了半天，啥也没发生。有点灰心。

但是！我这个人就是不服输！既然正着来不行，那就反着来！我想着既然它是一个购物网站，那肯定涉及到支付功能。于是我就开始研究它的支付流程，想看看能不能找到什么漏洞。

我先是随便选了一个商品，然后点击购买，进入了支付页面。我发现，它的支付方式有很多种，比如支付宝、微信支付、银行卡支付等等。我随便选了一种支付方式，然后开始抓包。

抓包之后，我发现，它的支付请求里，有很多参数。我开始逐个分析这些参数，想看看有没有哪个参数是可以篡改的。结果，我发现，有一个参数叫做“amount”，表示支付金额。我就想，如果我把这个参数改成一个很小的数字，比如0.01，会不会就能用很少的钱买到商品？

于是我就尝试着把“amount”参数改成0.01，然后重新发送支付请求。结果，系统提示我支付失败。看来这个方法行不通。

但是！我这个人就是不服输！既然直接改金额不行，那就试试其他方法！我想着既然它是一个购物网站，那肯定有优惠券功能。于是我就开始寻找优惠券，想看看能不能找到一些可以免费使用的优惠券。

我先是在网上搜了一下，结果啥也没搜到。然后我就回到“菲米斯”的官网，想看看有没有优惠券可以领取。结果，我发现，它有一个“新人注册送优惠券”的活动。我就赶紧注册了一个新的账号，领了一张优惠券。

领到优惠券之后，我就选了一个商品，然后点击购买，进入了支付页面。我发现，系统自动使用了我领到的优惠券，减免了一部分金额。然后我就用支付宝支付了剩下的金额，成功购买了这个商品！

虽然我没有找到什么特别大的漏洞，但是通过这回实践，我还是学到了很多东西。比如，如何寻找服务器IP地址，如何扫描端口，如何抓包分析，如何利用优惠券等等。这些知识，对我以后的安全研究，肯定会有很大的帮助！

这回“菲米斯”的实践，虽然累，但是也很有趣！以后有机会，我还会继续尝试其他的网站，看看能不能找到更多的漏洞！